⚠️ Cảnh báo khẩn: Lỗ hổng lõi WordPress CVE-2026-87902 (LFI → RCE, CVSS 9.2) đang bị khai thác — cập nhật ngay lên 7.1.2 / 7.1.3

WordPress vừa vá một lỗ hổng nghiêm trọng ngay trong lõi (Core) — mã định danh CVE-2026-87902 — cho phép kẻ tấn công không cần đăng nhập vẫn ép WordPress nạp một file PHP nằm ngoài thư mục theme, và trong điều kiện phù hợp có thể leo thang thành thực thi mã từ xa (RCE), tức chiếm quyền chạy mã trên server. Lỗ hổng đã bị khai thác thực tế chỉ vài giờ sau khi bản vá ra mắt, mã khai thác (PoC) đã công khai và CISA đã đưa vào danh mục lỗ hổng bị khai thác KEV. Anh em đang chạy WordPress cần kiểm tra phiên bản và cập nhật ngay.

Mục chính của bài

CVE-2026-87902 là lỗ hổng gì?

Lỗi nằm ở hàm get_page_template() trong file wp-includes/template.php — hàm WordPress dùng để xác định file template sẽ render một trang. Trước bản vá, giá trị dùng để tra template không được kiểm tra đủ chặt: kẻ tấn công ẩn danh có thể chèn ký tự duyệt thư mục (../) để WordPress nạp một file .php bất kỳ mà web server đọc được, kể cả file nằm ngoài thư mục theme đang dùng. Đây là dạng lỗi Local File Inclusion (LFI), phân loại CWE-98.

Về mức độ: WordPress và advisory GHSA-7hp8-65ch-5whp chấm lỗ hổng này 9.2 (Critical) theo CVSS 4.0. Trong khi đó NVD/CISA chấm 8.1 (High) theo CVSS 3.1 — hai con số khác nhau vì dùng hai thang chấm khác nhau, không phải mâu thuẫn. Lỗ hổng do nhà nghiên cứu Robert Ressl báo cáo có trách nhiệm.

Khi nào LFI biến thành RCE chiếm server?

Nạp được file không đồng nghĩa chạy được mã của kẻ tấn công. Theo phân tích của Patchstack, chuỗi khai thác thành RCE cần đồng thời đủ các điều kiện sau:

Theme đang dùng (hoặc theme cha) có thư mục cấp 1 bắt đầu bằng page-, ví dụ page-templates — cách tổ chức template rất phổ biến. Các theme như Twenty Twelve, Twenty Fourteen, Neve, Hestia, Sydney đều có mẫu thư mục này.
PHP chạy với register_argc_argv đang bật — đây là mặc định trong image PHP Docker chính thức và trong môi trường cPanel dùng PHP dưới 8.5.
Trên server có sẵn file PHP dùng làm “gadget” — điển hình là pearcmd.php của PEAR, bị lợi dụng để ghi một file PHP mới (webshell) lên đĩa; lần nạp file tiếp theo sẽ thực thi file đó bằng quyền của web server.

Thiếu một trong các điều kiện trên thì chuỗi RCE đã biết bị đứt — nhưng lỗ hổng gốc vẫn còn đó, nên cách xử lý đúng vẫn chỉ có một: cập nhật WordPress.

Đang bị khai thác thực tế — mốc thời gian đáng chú ý

22/09/2026: WordPress phát hành bản vá 7.1.2. Chỉ chưa đầy 5 giờ sau, Patchstack đã ghi nhận các lượt quét dò đầu tiên nhắm vào lỗ hổng này.
23/09/2026: lưu lượng tấn công tăng khoảng gấp 10 lần, kẻ tấn công chuyển từ dò quét sang thử ghi file độc lên site.
24/09/2026: Cơ quan An ninh mạng Singapore (CSA) phát cảnh báo AL-2026-128: lỗ hổng đang bị khai thác thực tế, PoC đã công khai, khuyến nghị cập nhật ngay.
25/09/2026: CISA đưa CVE-2026-87902 vào danh mục KEV (lỗ hổng đã xác nhận bị khai thác), hạn xử lý 28/09/2026. Dữ liệu của Wordfence ghi nhận khoảng 4,2 triệu request liên quan, đỉnh khoảng 1,6 triệu request vào ngày 27/09.

Điểm khác biệt nguy hiểm của vụ này: lỗ hổng nằm ở chính lõi WordPress, không phải plugin/theme bên thứ ba — nên gần như mọi site WordPress chưa vá đều nằm trong vùng ảnh hưởng.

Phiên bản bị ảnh hưởng và bản đã vá

Bị ảnh hưởng: mọi phiên bản WordPress từ 4.7.0 đến 7.1.1 (lưu ý: đã lên 7.1.1 vẫn CHƯA an toàn).
Đã vá: WordPress 7.1.2 phát hành 22/09/2026, kèm bản vá backport cho mọi nhánh còn được hỗ trợ bảo mật về tận 4.7 — ví dụ nhánh 7.0 → 7.0.6, 6.9 → 6.9.9, 6.8 → 6.8.10, 4.7 → 4.7.37.
Mới nhất hiện tại: WordPress 7.1.3 (06/10/2026) — bản bảo trì + bảo mật vá thêm 7 lỗi khác. Khuyến nghị cập nhật thẳng lên 7.1.3 để được cả hai đợt vá.

Nguồn chính thức: WordPress 7.1.2 Release — WordPress.org, advisory GHSA-7hp8-65ch-5whp, cảnh báo AL-2026-128 của CSA Singapore và hồ sơ CVE-2026-87902 trên NVD.

Cách kiểm tra và cập nhật WordPress an toàn

1. Kiểm tra phiên bản đang chạy

Vào wp-admin → Bảng tin (Dashboard) → Cập nhật, hoặc nhìn mục “Hiện tại đang chạy” / chân trang quản trị. Nếu phiên bản thấp hơn bản đã vá của nhánh bạn đang dùng (với nhánh 7.1 là dưới 7.1.2), site đang có nguy cơ.

2. Sao lưu trước khi cập nhật

Backup đầy đủ file + database (hoặc dùng plugin backup/hosting snapshot) để có đường lui nếu theme/plugin xung đột sau cập nhật.

3. Cập nhật ngay

Trong trang Cập nhật, bấm “Cập nhật ngay” lên 7.1.3 (hoặc bản mới nhất của nhánh). Site bật cập nhật nền tự động thường đã được vá tự động — vẫn nên vào kiểm tra lại để chắc chắn. Cập nhật xong, rà nhanh trang chủ, trang bài viết và form liên hệ/đặt hàng để đảm bảo site chạy bình thường.

Site từng chạy bản cũ: rà soát dấu hiệu đã bị chạm

Kiểm tra thư mục wp-content/uploads và thư mục theme xem có file .php lạ mới xuất hiện quanh hoặc sau ngày 22/09/2026 không — thư mục uploads bình thường không chứa file PHP thực thi.
Rà tài khoản quản trị lạ, bài viết/trang lạ, và lịch sử đăng nhập bất thường.
Xem log truy cập tìm request chứa page_id kèm pagename có ký tự ../ hoặc nhắc tới pearcmd.php.
Nếu phát hiện file độc: hãy coi site như đã bị xâm nhập — cách ly, quét malware toàn bộ, đổi toàn bộ mật khẩu/salt key rồi mới đưa site hoạt động lại. Chỉ cập nhật WordPress lúc này là chưa đủ.

Người dùng WordPress cần làm gì ngay?

Kiểm tra phiên bản mọi site WordPress bạn quản lý (kể cả site phụ, site staging còn public) và cập nhật lên 7.1.3 hoặc bản đã vá của nhánh đang dùng.
Bật cập nhật tự động cho các bản bảo trì/bảo mật của lõi WordPress để không bỏ lỡ các đợt vá khẩn như đợt này.
Nếu hosting dùng cPanel/Docker với PHP dưới 8.5 và theme có thư mục page-*, mức ưu tiên càng cao — đây là nhóm đủ điều kiện leo thang lên RCE.
Rà soát file lạ trong uploads/theme nếu site từng ở phiên bản bị ảnh hưởng trong giai đoạn sau 22/09/2026.

Hoidapwp.com sẽ cập nhật bài viết này ngay khi có thông tin mới từ WordPress.org về CVE-2026-87902.